PT-2025-5744 · Ckan · Ckan

M4Dn355 · Publicado 2025-02-05 · Atualizado 2025-02-06 · CVE-2025-24372

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.3

Alta

Vetor base

AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas: Versões do CKAN anteriores a 2.10.7 e 2.11.2

Descrição: O CKAN é um sistema de gerenciamento de dados de código aberto para operar hubs e portais de dados. Um usuário poderia potencialmente fazer upload de um arquivo contendo código que, quando executado, poderia enviar solicitações arbitrárias ao servidor. Se um administrador abrir este arquivo, isso poderia levar à elevação de privilégios do remetente original ou a outras ações maliciosas. Os usuários precisam estar registrados no site para explorar esta vulnerabilidade.

Recomendações: Para versões anteriores a 2.10.7 e 2.11.2, os mantenedores do site podem restringir os tipos de arquivo suportados para upload usando as opções de configuração ckan.upload.user.mimetypes / ckan.upload.user.types e ckan.upload.group.mimetypes / ckan.upload.group.types. Para desabilitar completamente o upload de arquivos, pode-se usar: ckan.upload.user.types = none Recomenda-se atualizar para o CKAN 2.10.7 ou 2.11.2 para corrigir o problema.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2025-24372

GHSA-7PQ5-QCP6-MCWW

Produtos afetados

Ckan

Referências · 16

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/24xxx/CVE-2025-24372.json · Exploit
• https://github.com/ckan/ckan · Nota
• https://github.com/ckan/ckan/commit/a4fc5e06634ed51d653ab819a7efc8e62f816f68 · Nota
• https://github.com/ckan/ckan/commit/7da6a26c6183e0a97a356d1b1d2407f3ecc7b9c8 · Nota
• https://github.com/ckan/ckan/security/advisories/GHSA-7pq5-qcp6-mcww · Nota
• https://osv.dev/vulnerability/CVE-2025-24372 · Aviso do Fabricante
• https://docs.ckan.org/en/latest/maintaining/configuration.html#ckan-upload-group-types · Nota
• https://docs.ckan.org/en/latest/maintaining/configuration.html#ckan-upload-user-mimetypes · Nota
• https://t.me/cvedetector/17316 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-7pq5-qcp6-mcww · Aviso do Fabricante
• https://docs.ckan.org/en/latest/maintaining/configuration.html#ckan-upload-group-mimetypes · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-24372 · Nota de Segurança
• https://twitter.com/m4dn355_/status/1887407883878543607 · Publicação no Twitter
• https://docs.ckan.org/en/latest/maintaining/configuration.html#ckan-upload-user-types · Nota
• https://twitter.com/CVEnew/status/1887204172224708721 · Publicação no Twitter